Ungeklärte Zuständigkeiten, besonders zwischen Fachbereich und IT
Berechtigungsprüfungen
Die sichere Verwaltung von Zugriffsmöglichkeiten im SAP-System ist essenziell für jedes Unternehmen. Umso wichtiger ist es, die vergebenen Berechtigungen zu analysieren und zu verbessern. Dieser Schritt dient zur optimalen Vorbereitung für Ihren S/4 HANA-Umstieg. Managed Services unterstützt dabei die zentrale und effiziente Verwaltung, um einen optimalen Überblick zu gewährleisten. Um Ihre Prozesse nachhaltig zu verbessern, liefert eine Datenbank Informationen über mögliche Optimierungen bei den SAP Lizenzen.
Ein lästiges, Ihnen bestimmt bekanntes Szenario: Sie gehen demnächst mit einem neuen Geschäftsprozess live und müssen nun Ihre dafür erstellten Rollen in 97 Buchungskreise ableiten. Hier kann Ihnen eCATT das Leben erleichtern. Es ist mal wieder soweit: Wenn Sie in Ihrer Abteilung niemanden haben, der Gefallen daran findet, mehrere Stunden lang in der Transaktion PFCG den Kopierknopf zu drücken, das Ableitungskürzel zu ersetzen und dann in den neuen Rollen auf der Registerkarte Berechtigungen die Organisationsebenen (Orgebenen) anzupassen (immer wieder verbunden mit Speichervorgängen), bleibt der Job an Ihnen hängen. Weil es kaum etwas Langweiligeres gibt, schleichen sich spätestens nach einer Stunde die ersten Fehlerchen ein. Immer wenn Sie neue Rollen, z. B. für Ihr neues Premiumgeschäft, auf alle Ihre Unternehmensbereiche, Werke usw. ausrollen müssen, ist die Anlage der abgeleiteten Rollen mühselig – weil SAP keine gescheite Massenpflege anbietet. Der SAP-Standard bietet verschiedene Möglichkeiten, um Aktivitäten aufzuzeichnen und massenhaft abzuspielen. Diese Werkzeuge sind allgemein für alle Operationen im SAP-System da, nicht nur für die Rollenpflege. Daher sind sie auch komplexer in der Bedienung, um möglichst flexibel alle denkbaren Einsatzszenarien abdecken zu können. Auch eCATT bildet hier keine Ausnahme, weswegen viele Anwender nach wie vor vor dessen Verwendung zurückschrecken. Wir können Ihnen aber aus Erfahrung sagen: Nach dem zweiten oder dritten Mal geht Ihnen die Erstellung der Testskripts so schnell von der Hand, dass Sie sich fragen werden, warum Sie es nicht schon immer so gemacht haben.
Den Zeitstempel in der Transaktion SU25 verwenden
Zusätzlich können Sie im SOS auch kundeneigene Berechtigungsprüfungen definieren und dabei auch Kombinationen von Berechtigungsobjekten und deren Werten festlegen. Sie können bis zu 1.000 kundeneigene Berechtigungsprüfungen im Check-ID-Namensraum 9000 bis 9999 anlegen. Auch für diese Berechtigungsprüfungen können Sie wieder Whitelists definieren, die entweder für einzelne oder alle kundeneigenen Berechtigungsprüfungen gelten. Die Konfiguration ist im SAP-Hinweis 837490 beschrieben.
Vereinfachen Sie Ihr Berechtigungskonzept nicht, bevor Sie alle Anforderungen kennen, sondern fragen Sie sich erst, was es zu erreichen gilt. Analysieren Sie also zunächst die Prozesse (wenn möglich auch technisch), und schaffen Sie erst dann ein Konzept. Viele Berechtigungskonzepte, die wir bei Kunden vorfanden, waren nicht dazu geeignet, den Anforderungen gerecht zu werden. Teilweise handelte es sich um »gewachsene« Berechtigungskonzepte (d. h., dass immer wieder Anforderungen hinzukamen) oder um gekaufte Berechtigungskonzepte. Vielen dieser Konzepte war gemeinsam, dass sie nicht einfach, sondern zu stark vereinfacht worden waren. Ein schönes Beispiel sind Berechtigungskonzepte, die alle Organisationsebenen in Werterollen oder Organisationsrollen zusammenfassen. Es gibt wenige Beispiele, wie z. B. den Rollenmanager der Branchenlösung SAP for Defense and Security, in denen das Ergebnis eines Werterollenkonzepts für den Benutzer noch sinnvoll und angemessen ist. Die Annahme, dass man »mal eben« alle Berechtigungsobjekte separiert, die eine Organisationsebene enthalten, ist zwar einfach, aber eben nicht sinnvoll. Die Vereinfachung, dass nur ein Benutzer ohne Berechtigungen definitiv keine rechtswidrigen Berechtigungen haben kann, haben wir in der Praxis nicht vorgefunden. Allerdings gab es immer wieder den Fall, dass Benutzer viel zu viele Berechtigungen besaßen und das System damit nicht mehr rechtskonform war.
Mit "Shortcut for SAP systems" können Sie die Zuweisung von Rollen nach einem Go-Live automatisieren.
Dieser Report bereinigt Inkonsistenzen und ergänzt fehlendende Modifikationsflags in den Daten der Transaktion SU24, die bei der Ausführung der Transaktion SU25 als Fehler auftauchen können.
Einige nützliche Tipps aus der Praxis zum Thema SAP Berechtigungen finden Sie auch auf der Seite www.sap-corner.de.
Für ein Berechtigungskonzept muss zunächst ein klares Ziel definiert werden, das mithilfe des Konzepts erreicht werden soll.